售前咨询
技术支持
渠道合作

网站未来标识:默认安全,加强警示“不安全”站点

距离7月24日已剩不到两个月了,全球最受欢迎的浏览器Google Chrome将对没有正确部署SSL证书的加密网站发出全屏警告,有人认为这是Google对HTTP的最终抵制。其实,一场全新涿鹿之战的较量才刚刚开始而已。这场比赛会将安全指标(“secure”标识和绿色安全挂锁)取消,并对不安全标准做出惩罚。

Google的措施

2014年,Google发起“HTTPS Everywhere”计划,希望对整个网络生态环境都进行加密。谷歌认为Web用户应该默认支持HTTPS,抵制不安全HTTP站点。此后,Google多次公开谴责HTTP,支持HTTPS。随着一系列的措施出台,HTTPS的使用率达到前所未有的高度。

Google产品经理Emily Schechter曾在Chrome官方博客上发布:

“一直以来,用户通过浏览器访问网络站点默认是安全的,当遇到不安全的情况才会发出警告。因此我们将会把HTTP页面标记为“不安全”,并逐步移除Chrome的安全标识,最终实现默认的状态是安全的。”

换句话说,网站需要浏览器的积极鼓励,来提升HTTPS的使用率。目前HTTPS已经达到预期的标准,已不需要通过安全标识的形式进行此类的激励,应转向对不安全的警示。

Google采取这一举措是正确的。一般情况下,安全的标识反而会误导普通用户。在看到“secure”和绿色安全挂锁,大部分的用户都认为该站点是安全的,在视觉的效果来说其实这只是表达加密而已,免费的DV SSL就能实现,而这成为了网络钓鱼诈骗的主要成分。

随着大量免费的DV SSL证书颁发,越来越多的钓鱼网站通过免费证书启用HTTPS站点进行钓鱼欺诈。由于网络用户缺乏网络安全知识,因此不少用户被误导钓鱼网站是安全的。

目前有两种方式可以抑制这种情况,就是通过传播专业知识或消除安全标识,并且对不安全站点发出不安全警示来取缔。很明显,对每一个用户传授URL,SSL,加密和网络钓鱼知识并非是一件简单的事,因此Goole选择了第二种方法。

挂锁最终会被取消

Google的目标是希望将HTTPS作为网络安全的基本规范,而Google即将推出的措施是Chrome不再显示任何与HTTPS或加密相关的直接标识,而是对异常站点(HTTP)进行严厉的警告,所以“secure”标识和绿色安全挂锁将会成为历史。2018年9月的推出Chrome 69首先将“secure”标识去掉,下一步就是去除绿色安全挂锁标志,这将标志着将HTTPS建立为标准规范的里程碑。

 

不安全的警示将更严厉

2017年10月发布的Chrome 62推出一项关于不安全站点的新指标:用户访问非HTTPS网站时,需要输入任何内容都会向其发出警告。

此警告旨在阻止用户访问不安全链接时,输入任何内容或泄露他们个人信息。Chrome 70将于2018年10月发布,届时不安全的警告将更加的严厉、明显。在Chrome 68开始,每个HTTP站点都被标记为“不安全”,如果用户在HTTP页面上输入内容时,Chrome通过对不安全字体变色(灰色变红色)来加强警示。

EV证书和绿色地址栏将发生哪些变化?

首先,谷歌不认为EV SSL证书是防止钓鱼攻击的解决方案。Emily曾说过“EV不是一个防御网络钓鱼攻击的好方法。”但是很多网络安全专家却认为EV SSL证书是防止网络钓鱼和社交

工程攻击的一个良好对策。从另一个角度来看,认证是将EV证书与其他证书区分最明显的特点,但Google似乎并不这么认为。

目前,Chrome加入了一个标志(Chrome://flags/#simplify- httpsindicator),允许用户禁用EV指示器——绿色地址栏。从另一个角度来看,Chrome团队可能会移除EV SSL证书的安全

标识,小编我却认为这个不明智的选择。

最后

标记所有HTTP站点,删除安全标志,修改EV 的标识 ……一系列的动作可以看出Google认

为HTTPS的使用已经接近日常规范。换句话说,Google的“https Everywhere”计划已取得成功,因此不再需要激励站点传播HTTPS。相反,反而希望将HTTP站点视为异常,并对它们进行不安全站点处理。

一直以来,谷歌十分重视用户体验,由于大部分用户在Chrome上看到“安全”标志时就 认为是安全的。导致钓鱼网站通过免费的DV SSL展示,进行钓鱼欺诈。

为了应对这种缺陷,很多用户认为通过高级别的证书(OV和EV)就可避免这种情况。然而,Google似乎并不认同,即使需要严格验证的EV证书,也不能抵御网络钓鱼攻击。小编在设想Google认为SSL证书只是提供加密连接的手段,那么在未来,Google很可能会平等对待所有的加密网站(无论是通过DV、OV还是EV证书)。可见,这种做法将会对SSL行业产生严重的影响。不过这仅仅是个人猜测,毕竟规则是掌握在Google手中。

文章由GDCA翻译于thesslstore

上一篇:

下一篇:

相关新闻